雪かきを手伝ってくれる親切な新入社員かと思ったらネットワーク管理者権限を奪われた事例 [朝一から閉店までφ★]

2026年07月03日 15時00分 セキュリティ

雪の積もった日に会社の出入口で「新しく入ったIT担当です。社員証がまだ使えません」と名乗る人物が現れ、雪かきを手伝ってくれたため社内に入れたところ、会社のドメイン管理者権限まで奪われたという事例をThe Registerが報じています。
幸いなことに侵入者は犯罪者ではなく、企業から依頼を受けて弱点を探すレッドチーム、つまり許可を得て侵入テストを行う専門家でした。

Hackers shoveled snow for company, were rewarded with network admin access
https://www.theregister.com/security/2026/07/02/hackers-shoveled-snow-for-company-were-rewarded-with-network-admin-access/5265240

攻撃者目線でセキュリティ検証を行うコンサルタントのクリストファー・ジョンソン氏と同僚のマイケル氏は、顧客のセキュリティをテストするため、雪かきのために開いていた管理用ドアから社内へ入りました。

保守担当者が2人を呼び止めましたが、2人は「新しいIT担当だが社員証がまだ動かない」と説明し、さらに「滑って転びそうになったので雪かきを手伝います」と申し出ました。
マイケル氏が雪かきを手伝っている間に、ジョンソン氏が「マイケルのノートPCを設定したいので2階に入らせてほしい」と依頼すると、保守担当者はジョンソン氏を建物内に通したとのこと。ジョンソン氏は建物へ入ると社内ネットワークへ接続できる場所を探し始めました。

ジョンソン氏が使ったのはRaspberry Piという手のひらサイズのコンピューターでした。Raspberry Piを社内の有線LANポートに接続できれば、攻撃者は建物の外からRaspberry Piを遠隔操作して社内ネットワークを調べられます。
ジョンソン氏はAV機器用の収納スペースにRaspberry Piを接続しようとしましたが、会社は許可されていない機器の接続をブロックするネットワークアクセス制御を有効にしていたため接続できませんでした。

ところが、会議室にあった別のネットワークポートではネットワークアクセス制御が有効になっていませんでした。ジョンソン氏は会議室の中央付近にRaspberry Piを置き、見つかりにくくするためにゴミ箱で隠したとのこと。

https://gigazine.net/news/20260703-hacker-shovel-snow/

続き

初めまして。
以前、3のくせに「2get」と書き込んでしまい、

「1000万年ROMってろ！」と言われてしまった者です。

言われた通り1000万年間、沢山沢山ROMりました。
ユーステノプテロン、キノナータス、オポッサム、猿から人類への進化…
オルビドス期、ジュラ紀、白亜紀・・・・
途中、「なぜこの時期に？」と書き込んだ三ケ日原人に反論しそうになったり、「ウパー」という北京原人に切れそうになりもしましたが、
言いつけを固く守り、唇を咬んでROMに徹しました。

そして現れては消えていく文明。繰り返される悲劇、数え切れないほどの戦争…生と死、生と死。
人々のささやかな幸せ、愛と憎しみ。

1000万年経った今、晴れて縛め（いましめ）を解かれた私（わたくし）が、
2get出来るチャンスに今っ！恵まれました。感動で…私の胸は張り裂けんばかりです。

天照大神様、見てらっしゃいますか？

それでは、1000万年の歴史の重みと共に、
キーを叩き壊すほどの情熱をもって打ち込ませていただきます。

2get！

Free-WiFiも危ない
フリーワイファイを通じてスパイアプリを入れられるから

>>3
某商社系のSI業者の社員は待機中に私物スマホでFree-WiFi使ってたな
元請けレベルにも結構アホがいる

これは対応ムズいなあ

>>2
とっとと成仏しろ

こういうのは杓子定規に対応する日本の工場系のが強固そうだな
門番テコでも動かんからな

映画「スニーカーズ」みたいなチームってあるんだな。おもろ

それはそうと、自衛隊員が購入したUSBメモリはハードウェアから機密漏洩するよう設計されていた中華製だったらしく
この手の情報戦はもう素人では防ぎようがないレベルなんだな

有能なスパイだな

ポンコツ老害の哀れな末路だよ

スイッチングハブのポート単位でこれはデータ系これは音声系とか各ネットワークにセキュリティかけるけど、これはよく分からないやつってポートを残して運用してるとこうなる
切り替える時にケーブル追ったりするのが面倒だからそのまま許可するネットワークってのがたくさん残ってて物理的なセキュリティの意味が無い

今どきはゼロトラストと1パスワードやろ

ピーターセラーズのコメディ映画じゃあるまいし

つまらない記事だなあ

>>8

中東で複数のポケベルが爆発したって報道も
綿密に準備された結果だろうしな。
スノーデンの告発も地底人ネタはともかく
として大体信じるとするならみんな情報ぶっこぬかれてる。
西側はスノーデンとかウィキリークスの情報で
推測出来るとして俺が気になるのは
旧東側、中国とか北朝鮮がどれくらい我が日本に色々しかけて来てるんだろう？って事だよ。
ウクライナ戦争が始まった後にロシアの駐日領事だかの公式アカウントが日本語の怪しい書き込みを何度もしてるのを直接見て｢アメリカと比べてロシアって予算が少ないんだな。最低限の日本語能力のある人材を領事の広報用として雇うお金も無いんだ〜｣って思ったよ。
素人のオープンソースインテリジェンス、オシントってヤツだがな。
素人プロファイリング。

>>7
社長が来ても社員証無いから入れなかった事あって
以後、守衛室に社長の写真飾られて「この人は通してください」と書かれてた

「雪かきを手伝う人に悪い奴はいない」バイアス
雪国生まれなら確実にあるｗ

(´・ω・｀)そんな堂々とハッカーが物理的に来社するとは思ってなかった。

弊社は、受付にカード欲しいというと身分証明なしでIDカードをくれるんだがこれは対策すべきだなあ。。

>>20
うちも社員証忘れたって言うと社員番号と名前、所属書けば出してくれる

ソーシャルハッキングですな

>>17
それでこそ門番だなw

>>17
守衛がいるような会社ならば
社長が来る前に守衛室に連絡があるはずだし
守衛が顔を知る秘書や運転手とか付き人がいる

雪降ろしや雪かきをシーズン中やってくれるならサーバの管理者権限ぐらい喜んで使わせてあげるｗ

>>17
職務に忠実な人
これでなくては

>>17
本田宗一郎かｗ

>>4
スマホ複数台持ちでそのうちの1台は個人情報一切入れないで変なことする専用機にしてるよ

>>17
当然でしょ　
というか社長に別のカード渡せよ

>>19
結局物理が一番効率いいからね

>>20
>>21
うちは社員番号を入力してその後に口頭で所属コードと名前で臨時カード発行するが確認画面に顔写真も表示されてるから誤発行はないと思う

うちの会社はIT部門から不定期に擬似フィッシングメール来るな
それに正しく対応しないとセキュリティに関する講習受ける羽目になる

新入社員に雪かきやらせたらSNSでブラック扱い

>>8
ネットって性善説で動いてるようなところがあるから本気で国単位で悪いことしようとしたら簡単に潰せるよ
もうそろそろネットは終わりが近い気がする